狙われやすいMicrosoft 365、まずは認証周りから

　前提となるのが「安心して利用できること」です。グローバルで利用されているMicrosoft 365は、サイバー攻撃の対象にもなりやすいと言われています。こうした攻撃への対策としてまず見るべき設定項目が「多要素認証」です。ユーザーIDとパスワードに加えて「Microsoft Authenticator」などスマートフォンの認証アプリや、SMS（ショートメッセージ）で届く確認コードなど2つ以上の認証を組み合わせることでより安全にサインインできます。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

Microsoft 365で利用できる多要素認証のフロー（出典：内田洋行の太田浩史氏作成の資料）

　Microsoft 365はデフォルトで多要素認証の利用が有効化された状態となっており、14日間以内に多要素認証の設定を完了することが求められます。これは「Azure ADのセキュリティの既定値」の設定によるもので、Microsoftによって決められた設定を全ユーザー（従業員）に適用することで、管理者の手間を増やすことなくセキュリティ対策を強化できます。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

「セキュリティの既定値」の設定：Azure AD管理センターから「Azure Active Directory＞プロパティ＞セキュリティの既定値の管理」（出典：内田洋行の太田浩史氏作成の資料）

　Azure ADのセキュリティの既定値による設定では、スマートフォンの認証アプリのみが多要素認証に利用でき、それを利用できない場合には不都合が生じます。また、災害などの非常事態により、スマートフォンなど多要素認証に用いるデバイスの消失や携帯ネットワークの遮断などを想定し、多要素認証から除外した緊急時用管理者アカウントの作成が必要なケースもあります。そうした場合には、ユーザー個別に多要素認証を有効化することも可能です。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

ユーザーごとの多要素認証の設定：Microsoft 365管理センターから「アクティブなユーザー＞多要素認証」（出典：内田洋行の太田浩史氏作成の資料）

　自社のポリシーに基づいてさらに詳細な設定を行いたい場合は、「Azure AD Premium」の利用も検討しましょう。例えば「Azure AD条件付きアクセス」によって、ユーザーや利用場所に応じて多要素認証を強制するなど細かな制御が可能になります。

管理者任せを従業員任せにできる「セルフサービスパスワードリセット」

　社内のヘルプデスクに寄せられる問い合わせで多いのが「パスワードが分からなくなったのですが、どうすればいいでしょうか」という質問です。ユーザー自身でパスワードを再設定できるようになれば、ユーザーの利便性向上とともに管理者やヘルプデスクの負荷軽減にもつながります。Microsoft 365には、そうした時のための機能「セルフサービスパスワードリセット」（SSPR）があります。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

Microsoft 365のセルフサービスパスワードリセットのフロー（出典：内田洋行の太田浩史氏作成の資料）

　セルフサービスパスワードリセットは既定では無効化されているため、管理者によってAzure Active Directory 管理センターで有効化する必要があります。機能が有効化されたテナントでは、ユーザーがサインインする際の「パスワードを忘れた場合」から、あらかじめ登録しておいた電話番号などの情報を基にパスワードを再設定できます。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

セルフサービスパスワードリセットの設定：Azure AD管理センターから「Azure Active Directory＞パスワードリセット」（出典：内田洋行の太田浩史氏作成の資料）

　注意すべき点として、この機能によってパスワードをリセットできるのはMicrosoft 365に登録されたクラウドのユーザーアカウントのみです。企業によっては「Azure AD Connect」でオンプレミスのActive DirectoryとAzure ADの間でユーザーアカウントと同期させている場合があります。このとき、Azure ADのセルフサービスパスワードリセットによって変更されたパスワードをオンプレミスのユーザーアカウントにも反映させるには、Azure AD Premiumのライセンスが必要になります。使い方や利用構成に応じて、追加のライセンスを確認するといいでしょう。

社内外との情報共有で「ヒヤリハット」が起きないように

　Microsoft 365のツールやサービスを使って社内ユーザーだけでなく社外のユーザーともファイルを共有したり、「Microsoft Teams」などでチャットをしたりすることもできます。しかし、操作に不慣れな従業員が誤ったアクセス権を設定してしまわないかなど、管理者としては不安に感じることもあるでしょう。従業員が操作に慣れるまでは外部共有を制限するなど、共有設定を変更する必要があります。

　最も簡単に外部共有を制限するには、Microsoft 365管理センターの「組織の設定」にある「共有」の設定を変更する方法があります。「ユーザーが組織に新しいゲストを追加できるようにします」のチェックを外し、さらに「Microsoft SharePoint」（以下、SharePoint）の設定で、ユーザーが共有できる相手を「既存のゲストのみ」または「組織内のユーザーのみ」とすることで、管理者以外は社外ユーザーとファイルやチームを共有することができなくなります。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

Microsoft 365の共有設定：Microsoft 365管理センターから「設定＞組織設定＞セキュリティとプライバシータブ＞共有」、SharePointの共有設定から「SharePointの外部共有設定を変更」（出典：内田洋行の太田浩史氏作成の資料）

　中には、「社外のユーザーとは情報を共有したいが、SharePoint Onlineや『Microsoft OneDrive for Business』（以下、OneDrive）だけはファイルの公開を制限したい」といった公開範囲を限定したいという要望もあります。これは、SharePoint管理センターにあるポリシーの「共有＞外部共有」によって設定できます。既定では「すべてのユーザー」が選択されており、ユーザーが自由に社外へファイルを公開できる状態になっています。この設定を「新規および既存のゲスト」や「既存のゲスト」に変更することで、ゲストユーザーのみにファイルを共有できるようになります。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

SharePointの外部共有設定（詳細）：SharePoint管理センターから「ポリシー＞共有」（出典：内田洋行の太田浩史氏作成の資料）

　この他にもSharePointやOneDriveでは、招待を許可するドメインを制限するなど細かな設定ができます。すでに運用しているMicrosoft 365 テナントであっても、あらためて確認しておくといいでしょう。

困った時は無償サポートを利用するのも

　冒頭にも述べたようにMicrosoft 365の設定項目は多岐にわたり、それらを全て把握することは困難です。しかし、面倒ではありますが「いつ、誰が、どの設定項目を変更したか」といった記録は残しておきましょう。設定変更によって思わぬ動作が生じた場合でも、記録をたどればトラブルシューティングの役に立ち、ひいては管理工数の低減につながるかもしれません。

　そもそも、各ツールおよびサービスの設定変更の方法が分からない場合は、Microsoft 365の契約に含まれる無償のサポートサービスを利用しましょう。Microsoftのサポートチームや、CSP（Cloud Solution Provider）パートナーの窓口に問い合わせれば、設定方法や機能の使い方などどんな細かいことでも相談できるのでおすすめです。その他、150以上のライセンスを契約した場合は、導入支援サービス「Microsoft FastTrack」の特典が利用できることもあります。こちらも追加コスト不要で受けられるサービスのため、利用を検討してみるのもいいでしょう。

　Microsoft 365は提供される機能やサービスが多く、機能も毎月アップデートされています。全てを完璧な状態に設定して利用しようとすると、導入までのリードタイムやコストが大きくなってしまいがちです。まずは、必ず押さえておくべきセキュリティ面に絞って設定を見直し、その他の利便性に関する設定は使っていく中で考えるといいでしょう。